Flux et automatisation

Un flux est un graphe orienté : des nœuds reliés par des fils, parcourus depuis un seul point de départ. Ce n’est délibérément pas un script avec une boucle. Quatre règles en fixent la forme, et l’éditeur refuse de publier un dessin qui en casse une, en nommant le nœud fautif.

• Exactement un déclencheur. Le nœud déclencheur est la seule entrée, et c’est lui qui décide des variables qui existent dans le reste du dessin.
• Aucun cycle. Un fil qui ramène vers un nœud d’où il venait est refusé, car un flux ne sait pas attendre : une boucle ne se terminerait tout simplement jamais.
• Chaque nœud doit être atteignable depuis le déclencheur. Un nœud resté en l’air est une erreur qu’une capture d’écran ne montre pas, donc c’est une erreur au moment de publier.
• Les branches sont parcourues l’une après l’autre, jamais côte à côte. Deux branches simultanées écriraient dans state en même temps, et le résultat dépendrait du hasard de l’horloge.

L’éditeur est un plan de travail, et il n’y en a pas de second. Un flux neuf s’y ouvre directement, et un flux qui était une liste droite d’étapes s’ouvre comme une chaîne droite de nœuds.

• La palette contient les douze types de nœud. Cliquez sur l’un d’eux pour le poser sur le plan, ou faites-le glisser à l’endroit voulu.
• Déplacez un nœud en le saisissant par son en-tête. Tout le reste du nœud est une commande et ne démarre donc pas de glissement.
• Un fil va d’un point de sortie à un point d’entrée. Faites glisser de l’un vers l’autre, ou cliquez d’abord la sortie puis l’entrée. Les deux font la même chose, et la seconde est le chemin au clavier.
• Relâcher un fil dans le vide ne fait rien. Pour en supprimer un, sélectionnez-le et appuyez sur Suppr, ou utilisez la croix posée dessus.
• Le zoom va de 50 à 200 %, Ajuster montre le dessin entier, et faire glisser le fond déplace la vue. Il n’y a pas de minicarte.

Douze types, et cette liste est courte à dessein. Chaque type est un panneau, neuf traductions, une branche dans l’exécuteur et une ligne dans la table de vérité ; un type qui porte son poids vaut donc mieux qu’un type qui le porte presque.

Cinq moments, et celui que vous choisissez ne dit pas seulement quand le flux s’exécute. Il dit aussi quelles variables existent, lesquelles le sélecteur vous propose et lesquelles la plateforme refuse d’enregistrer. Un chemin qui ne peut pas exister à ce moment-là est une erreur à l’enregistrement, et non une chaîne vide au milieu d’une exécution.

Chaque valeur qu’un flux peut lire provient de l’un de ces groupes. Le sélecteur de l’éditeur montre les groupes qui existent pour votre déclencheur, et rien d’autre. Lire un chemin inconnu est une erreur et jamais une valeur vide : une supposition fausse doit faire du bruit.

Un nœud set écrit dans state. Sa valeur est du texte littéral, sauf si vous cochez la case expression ; elle est alors lue comme un modèle, les variables de cette exécution déjà remplies.

• Cette case est un choix délibéré. Une valeur qui contient par hasard deux accolades, un morceau d’Ansible ou un fragment de Helm, continue de signifier ce qu’elle disait. Rien ne change de sens à cause d’un changement que personne n’a demandé.
• Le langage n’est que de la sortie. Deux accolades et un chemin, et rien d’autre : pas d’assign, pas de capture, pas de boucle, pas d’include. Ce qui est écrit sur le plan est ce qui en sort, valeurs remplies.
• Il y a 46 filtres : texte, nombres, dates, les quelques filtres de liste qui produisent du texte, et les propres quote, ini et ipoctet. Le sélecteur de l’éditeur les énumère. Deux familles manquent à dessein, celles qui tirent au sort et celles qui rendent un objet là où vous vouliez un mot.
• Les secrets ne sont pas disponibles ici, les fragments réutilisables non plus. Ce qu’écrit un nœud set finit dans le compte rendu de l’exécution, et un secret n’a rien à y faire.

Un flux peut s'arrêter et attendre une personne, et il peut parcourir les mêmes nœuds plusieurs fois. Ni l'un ni l'autre n'était possible tant qu'une exécution ne pouvait pas être mise en attente puis réveillée ; cette file existe désormais.

• Un nœud d'approbation arrête l'exécution, crée une demande et prévient le compte. Y répondre demande un droit distinct, afin que celui qui a écrit le flux ne soit pas automatiquement celui qui le valide.
• Chaque demande porte un délai et ce qui se passe sans réponse : continuer comme approuvé, continuer comme refusé, ou terminer l'exécution comme sans objet. Il n'y a pas de quatrième choix, car une exécution qui attend indéfiniment est une exécution dont personne n'entend plus parler.
• Pour chaque parcourt sa sortie de boucle une fois par élément d'une liste. Dans la boucle, state.loop contient l'élément courant, sa position et le total.
• Rien d'extérieur à une boucle ne peut être relié aux nœuds qu'elle contient. Ces nœuds s'exécutent à chaque tour, et une notification reliée aux deux écrirait un message par tour.
• Une étape d’approbation peut aussi envoyer un e-mail. Celui-ci ne part qu’aux membres autorisés à décider des approbations, et non à toutes les personnes qui voient les flux ; la notification du panneau est écrite dans tous les cas.

Une exécution à l’arrêt n’est pas une exécution en échec. Trois choses peuvent la mettre de côté, et toutes trois passent par la même file : une approbation, une longue pause et un sous-flux dont l’enfant attend lui-même.

• Une pause d’une demi-minute ou moins attend simplement dans la requête qui l’a lancée, ce qui est exactement le comportement voulu lorsque vous laissez un instant à un agent. Au-delà, l’exécution est mise de côté : la commande qui l’a déclenchée se termine immédiatement et la suite du flux vient plus tard.
• Un sous-flux exécute un autre flux de ce compte comme une seule étape. Son résultat détermine la sortie : un enfant réussi, ou qui n’a rien trouvé à faire, poursuit par OK ; un enfant en échec par Erreur. L’état, l’exécution et le nom du flux se trouvent dans state.subflow.
• Un flux ne doit jamais s’atteindre lui-même, ni directement ni via un autre flux. C’est vérifié au déploiement, et le message nomme la chaîne trouvée.
• Les flux peuvent s’appeler sur trois niveaux au maximum. Comme chaque flux se modifie séparément, cette limite est vérifiée deux fois : au déploiement, puis pendant que l’exécution avance réellement.

Un point d’entrée webhook donne à un système extérieur une URL bien à lui. Ce système envoie du JSON, le flux placé derrière l’URL s’exécute, et la réponse est un code d’état nu. Les points d’entrée vivent sous Scripts, dans l’onglet Webhooks, et sont des objets à part : le même point d’entrée peut viser un autre flux sans que l’expéditeur s’en aperçoive.

1. 01Créez le point d’entrée et donnez-lui un nom que vous reconnaîtrez plus tard. L’URL est engendrée pour vous et ne se choisit pas : 32 caractères aléatoires, soit 160 bits, ce qui fait que deviner n’est pas une stratégie.
2. 02Choisissez comment l’expéditeur prouve son identité, et copiez le secret. Il n’est montré qu’une seule fois ; s’il est perdu, vous le régénérez, et vous obtenez alors aussi une nouvelle URL.
3. 03Faites pointer le point d’entrée vers un flux dont le déclencheur est un webhook. Le point d’entrée peut exister avant le flux, et d’ici là une requête est acceptée et reçoit un 202 qui ne démarre rien. C’est l’ordre dans lequel les gens construisent réellement cela, ce n’est donc pas traité comme une faute.

La signature est le mot sha256, un signe égal, puis le HMAC-SHA256 sur exactement les octets de l’horodatage, d’un point et du corps, en hexadécimal minuscule. Elle va dans X-Provibr-Signature, et l’horodatage lui-même va dans X-Provibr-Timestamp, en secondes entières depuis l’époque.

Une requête dont l’horodatage a plus de 300 secondes, ou se situe dans le futur, est refusée par un 401. Cette fenêtre est une vraie règle et non un ornement, car l’horodatage se trouve dans la matière signée : une requête interceptée ne peut pas être renvoyée demain en collant par-dessus un horodatage frais.

Signer une requête tient en une ligne d’openssl. Cet exemple envoie un petit objet ; le texte destiné au terminal reste en anglais à dessein, pour qu’il corresponde à ce que votre terminal affiche.

# Sign the raw body together with the timestamp, then post it.
SECRET="$PROVIBR_WEBHOOK_SECRET"
BODY='{"reason":"maintenance","attempt":1}'
TS=$(date +%s)
SIG=$(printf '%s.%s' "$TS" "$BODY" | openssl dgst -sha256 -hmac "$SECRET" -r | cut -d' ' -f1)

curl -sS -X POST 'https://app.provibr.com/api/hooks/flows/<your-slug>' \
  -H 'Content-Type: application/json' \
  -H "X-Provibr-Timestamp: $TS" \
  -H "X-Provibr-Signature: sha256=$SIG" \
  --data "$BODY"

Chaque requête laisse un reçu, acceptée ou non : l’issue, l’état renvoyé, l’adresse source en entier et le nombre d’octets réellement lus. Le corps n’est jamais conservé. Les reçus disparaissent au bout de 90 jours, plus tôt que les exécutions elles-mêmes, car une adresse source est une donnée personnelle appartenant à quelqu’un qui n’est pas notre client.

Deux questions qui se ressemblent ont ici deux réponses différentes. Qui a changé quoi, et quand, c’est une révision. Ce que cette exécution précise a réellement parcouru, c’est une copie conservée sur l’exécution elle-même. Un instantané ne peut pas répondre à la première question et une révision ne peut pas répondre à la seconde, les deux existent donc.

• Chaque publication écrit une révision, y compris une publication qui n’a rien changé. Le numéro monte par flux et n’est jamais réutilisé.
• L’écart entre deux révisions est une liste lisible et non du JSON brut : un nœud ajouté, retiré ou modifié avec les champs nommés, un fil ajouté ou retiré. L’endroit où se trouve un nœud sur le plan n’est pas une modification.
• Restaurer ne rembobine pas. Cela réécrit l’ancien dessin comme une nouvelle révision par-dessus l’historique, avec une note disant d’où il venait.
• Chaque exécution conserve le dessin qu’elle a parcouru. Modifier un flux ensuite ne réécrit jamais ce qu’une exécution plus ancienne a fait.
• Une exécution comporte une ligne par nœud visité, avec l’issue et la sortie empruntée, et une ligne par nœud non visité avec le motif. Non visité est un fait qui mérite d’être noté, pas une absence.
• La liste des exécutions filtre par déclencheur, état et révision, et s’exporte en CSV. L’export s’arrête à 5000 lignes et le dit dans le fichier plutôt que de cesser en silence.

Les modèles de script tiennent à côté leur propre historique : chaque version enregistrée du contenu, et un écart ligne à ligne entre deux d’entre elles.